GRC 7.0: co GRC Orchestrate Michaela Rasmussena oznacza dla organizacji

Dlaczego o GRC 7.0 dyskutuje się właśnie teraz

To Michael Rasmussen ukuł termin GRC. Jak sam podaje, w lutym 2002 r., jako analityk Forrester Research, po raz pierwszy opisał ład korporacyjny, zarządzanie ryzykiem i zgodność jako zintegrowane podejście i stworzył dla niego ten akronim. GRC 20/20 Dziś kieruje firmą analityczną GRC 20/20 Research i porządkuje rynek według generacji.

W październiku 2026 r. opublikował na ten temat liczącą 143 strony Market Perspective: „GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market”. GRC 20/20 Pełny raport jest dostępny wyłącznie dla klientów. Publiczne podsumowanie, spis treści i kilka ogólnodostępnych artykułów Rasmussena jasno pokazują jednak, o co chodzi. W tym artykule podsumowujemy model i pokazujemy, jakie pytania organizacje mogą z niego wyprowadzić przy wyborze i eksploatacji swoich narzędzi GRC.

Główna teza: funkcje tanieją, odpowiedzialność zyskuje na wartości

Punktem wyjścia Rasmussena jest przesunięcie na rynku. Sztuczna inteligencja sprawia, że widoczne funkcje oprogramowania przestają być dobrem rzadkim. Jednocześnie na znaczeniu zyskują cztery rzeczy: wiarygodne informacje, kontekst biznesowy, specjalistyczna metodyka dziedzinowa oraz wykonanie, za które ktoś ponosi odpowiedzialność. GRC 20/20

Z tego wynika główne rozróżnienie raportu: GRC 7.0 to architektura operacyjna, a nie zbiór funkcji AI. Okno czatu może poprawić obsługę, ale nie zastępuje pracy nad architekturą i metodyką, pisze Rasmussen. GRC 20/20 Poprzeczkę stawia równie jasno: technologia musi poprawiać efektywność, skuteczność, odporność i zwinność dzięki lepszym decyzjom i weryfikowalnym wynikom.

Od GRC 1.0 do 6.0: generacje, a nie rekomendacja zakupowa

Rasmussen opisuje rozwój rynku w generacjach. Podkreśla, że chodzi o nakładające się na siebie możliwości, a nie o drabinę ani o zachętę do kupowania kolejno ośmiu platform. GRC 20/20

Granicę dotychczasowych generacji Rasmussen opisuje tak: system może zawierać doskonałe zapisy, a mimo to zostawiać ludzi samych, gdy trzeba złożyć kontekst, zdecydować o kolejnym kroku i zbudować potrzebną zdolność. Właśnie w tym miejscu wkracza GRC 7.0.

Trzy systemy GRC 7.0

System of Record pozostaje podstawą. Wokół niego GRC 7.0 tworzy system orkiestracji, który łączy trzy uzupełniające się systemy. GRC 20/20

System of Intelligence: od sygnału do kontekstu decyzji

System of Intelligence zbiera sygnały wewnętrzne i zewnętrzne i przekształca je w kontekst decyzyjny. Zakłócenie u dostawcy, nowy wymóg regulacyjny czy odchylenie w wynikach trzeba powiązać z celami, usługami, obowiązkami i zależnościami, których dotyczą. Użytecznym rezultatem jest uzasadnione wyjaśnienie skutków i możliwych opcji, łącznie z brakującymi informacjami i niepewnościami.

Rasmussen przywiązuje przy tym wagę do jednego rozróżnienia: kadra kierownicza musi być w stanie rozpoznać, co jest potwierdzonym faktem, co wnioskiem, a co założeniem, które mogłoby zmienić decyzję. Spis treści raportu wymienia w tym kontekście m.in. pochodzenie i czas powstania informacji, entity resolution, ontologie oraz zapytania z kontrolą uprawnień.

System of Action: wykonanie z jasno określonymi uprawnieniami

System of Action koordynuje reakcję. Agenci mogą pracować samodzielnie w ustalonych granicach, działać półautonomicznie z zatwierdzeniem przez człowieka i uzgadniać zadania między ludźmi i systemami. Agent może zebrać dowody, przygotować analizę wpływu, przekazać decyzję dalej lub przeprowadzić dozwoloną zmianę.

Kluczowe jest to, by uprawnienia były wyraźnie uregulowane: co może się wydarzyć, na jakich warunkach, kto jest odpowiedzialny i jak weryfikuje się wynik. Rasmussen ilustruje to dwoma przykładami. Zdolność do zarekomendowania dostawcy nie oznacza uprawnienia do jego zatwierdzenia. A zakończony przepływ pracy nie dowodzi, że usługa została przywrócona. System musi wiązać działania z obserwowalnym wynikiem biznesowym i eskalować, gdy uprawnienia lub dowody są niewystarczające.

System of Configuration: budowanie możliwości w języku biznesu

System of Configuration ma szybko budować i dostosowywać możliwości GRC w języku danej dziedziny. Zespół opisuje, czego potrzebuje, na przykład nowej oceny albo procesu obsługi obowiązków, a technologia pomaga wygenerować do tego struktury danych, relacje, reguły, interfejsy i integracje.

Rasmussen łączy tę obietnicę z jasnymi warunkami: walidacją, uprawnieniami, testami i kontrolowanym wdrożeniem. Jasno opisany zamiar to początek wiarygodnej zdolności, a nie dowód, że wygenerowany wynik jest poprawny. W raporcie czytamy zatem, że testy muszą być na tyle niezależne, by móc zakwestionować generowanie, a wdrożenie jest decyzją z zakresu ładu.

Wartość tkwi w połączeniu

Żaden z trzech systemów sam w sobie nie jest nowy. O różnicy decyduje ich połączenie: Intelligence rozpoznaje zmienioną sytuację, Action koordynuje odpowiednią reakcję, Configuration buduje zdolność, której wymaga nowa sytuacja. Uczenie się może poprawiać to współdziałanie, ale bez tego, by system po cichu zmieniał własne uprawnienia.

Agenci zasługują na swoje uprawnienia

We wcześniejszej serii artykułów o GRC Orchestrate Rasmussen opisuje agentów jako część cyklu obserwowania, analizowania, działania i eskalowania. Jeśli sytuacja przekracza próg danego agenta, informuje on właściwą osobę. GRC 20/20

Przyznaje tam również, że rynek jest dopiero na początku drogi. AI pojawiała się dotąd głównie w postaci pojedynczych funkcji, takich jak oceny ryzyka, mapowanie regulacji i interfejsy czatu. Prawdziwa orkiestracja skoordynowanych agentów dopiero się kształtuje. Jako warunki do spełnienia do 2030 r. wymienia:

• jednolite taksonomie i metadane we wszystkich obszarach GRC
• polityki, ryzyka, zabezpieczenia i obowiązki w formie czytelnej maszynowo
• etyczne i operacyjne zabezpieczenia dla zachowania AI
• kulturę ładu, która traktuje AI jako uczestnika, a nie tylko narzędzie

Dla organizacji dobrym probierzem jest przede wszystkim punkt drugi. Kto już dziś prowadzi wymagania, środki i dowody w sposób ustrukturyzowany i czytelny maszynowo, na przykład w otwartym formacie OSCAL, tworzy podstawę, na której agenci mogą działać niezawodnie. Więcej na ten temat przeczytasz w artykule Czym jest OSCAL?

Perspektywa: GRC 8.0 i cyfrowe bliźniaki

Dla okresu od ok. 2030 r. Rasmussen opisuje GRC 8.0, „Quantum GRC”. Chodzi o głębokie cyfrowe bliźniaki organizacji i jej łańcucha dostaw na trzech poziomach: kierunku strategicznego, celów i wyników oraz operacji i wykonania. Mają one pozwolić organizacjom przećwiczyć możliwe scenariusze przyszłości, zanim się na coś zdecydują. Rasmussen mówi o „Risk Holodeck”. GRC 20/20

Wyraźnie przedstawia to jako wizję przyszłości, a nie dostępną już zdolność. Nawet przekonująco przedstawiona symulacja może być błędna; jej wartość zależy od jakości modelu, informacji i od uczciwego podejścia do tego, co pozostaje nieznane. Z obliczeniami kwantowymi w dosłownym sensie termin ten ma niewiele wspólnego; raport traktuje tę kwestię osobno.

Jakie pytania organizacje powinny teraz zadawać dostawcom

Rasmussen zaleca, by bez potrzeby nie wymieniać działających podstaw. Wymiana systemu tylko dlatego, że jego numer generacji brzmi staroświecko, byłaby kosztownym nieporozumieniem. Zamiast tego organizacje powinny poprosić dostawców o zaprezentowanie spójnego scenariusza biznesowego i zapytać: GRC 20/20

1. Jakiemu celowi służy ta zdolność i jak mierzy się poprawę?
2. W jaki sposób wewnętrzna lub zewnętrzna zmiana staje się istotną informacją?
3. Co system może zrobić sam, co wymaga zatwierdzenia przez człowieka i jak egzekwuje się uprawnienia?
4. Czy da się zbudować sensowną zdolność w języku biznesu i czy można potem sprawdzić i przetestować wynik?
5. Jak zachowuje się system, gdy informacje są sprzeczne, brakuje zależności albo osoba zatwierdzająca jest nieosiągalna?
6. Jaki dowód potwierdza, że zamierzony wynik rzeczywiście został osiągnięty?

Na początek doradza ściśle ograniczone podejście: jeden cel, jeden wyodrębniony przypadek użycia, jedna osoba odpowiedzialna, jedna wartość bazowa i jeden test odporności. Mierzyć należy zakładane wyniki i cały nakład operacyjny, łącznie ze sprawdzaniem, korektami, integracją i nadzorem. Dowody rozstrzygają następnie, czy podejście rozszerzyć, dostosować, czy zatrzymać.

Co wynosimy z tego w Secani

Najbardziej przydatne wydaje nam się rozróżnienie Rasmussena między zdolnością do zaproponowania czegoś a uprawnieniem do podjęcia decyzji. Tym rozróżnieniem kierujemy się, projektując agenta Secani: przygotowuje on oceny, wskazuje powiązania i uzasadnia swoje propozycje. Decyzja, czy dany środek uznaje się za skuteczny albo czy ryzyko zostaje zaakceptowane, ma pozostać w rękach osoby odpowiedzialnej. Dlaczego także sam link do źródła tu nie wystarcza, opisujemy w artykule AI w GRC: cytowanie to nie weryfikacja.

Równie ważny jest dla nas postulat Rasmussena, by wymagania, środki i dowody były czytelne maszynowo. Agent może działać tylko tak niezawodnie, jak pozwala na to struktura, na której się opiera. Jak duże firmy analityczne wypowiadają się o rynku jako całości, przeczytasz w artykule Rynek GRC w 2026 roku: co Forrester, Verdantix i GRC 20/20 mówią o AI i platformach.

Podsumowanie

GRC 7.0 to nie tyle nowa kategoria produktów, ile miara oceny. Rasmussen opisuje architekturę, w której wiodące dane, kontekst decyzyjny, kontrolowane wykonanie i weryfikowalne dostosowanie działają razem. Agenci AI są w niej ważnym elementem, ale stanowią postęp tylko wtedy, gdy ich uprawnienia są jasno uregulowane, a ich wyniki weryfikowane. Dlatego organizacje powinny poprosić o pokazanie na własnym przypadku użycia, gdzie agent jedynie proponuje, gdzie może działać i kto w każdym przypadku ponosi odpowiedzialność.

Źródła

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, październik 2026 r.)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 października 2026 r.)
• GRC 7.0 – GRC Orchestrate: Agentic AI and the Autonomous Force Behind Risk, Integrity, and Objectives (Michael Rasmussen, 10 lipca 2025 r.)